Revisar los cambios en las dependencias en un pull request

Acerca de la revisión de dependencias

La revisión de dependencias te permite entender los cambios a las dependencias y el impacto de seguridad de estos cambios en cada solicitud de cambios. Proporciona una visualización fácil de entender para los cambios de dependencia con un diferencial importante en la pestaña "Archivos cambiados" de una solicitud de incorporación de cambios. La revisión de dependencias te informa sobre:

• Qué dependencias se agregaron, eliminaron o actualizaron junto con las fechas de lanzamiento
• Cuántos proyectos utilizan estos componentes
• Datos de las vulnerabilidades para estas dependencias

La revisión de dependencias le ayuda a encontrar dependencias vulnerables antes de que lleguen a producción. Consulte Revisión de dependencias.

Puede utilizar Acción de revisión de dependencias para ayudar a exigir revisiones de dependencias en las solicitudes de extracción de su repositorio. La Acción de revisión de dependencias examina las solicitudes de incorporación de cambios de dependencia y genera un error si las nuevas dependencias tienen vulnerabilidades conocidas. La acción es compatible con un punto de conexión de API que compara las dependencias entre dos revisiones e informa de las diferencias.

Para más información sobre la acción y el punto de conexión de API, consulta la documentación de dependency-review-action y Puntos de conexión de la API de REST para la revisión de dependencias.

Puede configurar Acción de revisión de dependencias para adaptarlo mejor a sus necesidades especificando el tipo de vulnerabilidades en las dependencias que desea detectar. Consulte Configuración de la acción de revisión de dependencias.

Revisar las dependencias en un pull request

1. En el nombre del repositorio, haz clic en Pull requests.

   

2. En la lista de solicitudes de incorporación de cambios, haga clic en la que quiera revisar.

3. En la solicitud de incorporación de cambios, haz clic en Archivos cambiados.

   

4. Si el pull request contiene muchos archivos, use el menú desplegable File filter para contraer todos los archivos que no registren dependencias. Esto facilita el enfoque de la revisión en los cambios de dependencia.

La revisión de dependencias proporciona una vista más clara de lo que ha cambiado en archivos de bloqueo grandes, donde la diferencia de origen no se muestra de forma predeterminada.

1. Para mostrar la revisión de dependencias, haga clic a la derecha del encabezado de un manifiesto o archivo de bloqueo.

   

2. Verifica las dependencias que se listan en la revisión de dependencias.

   

   Cualquier dependencia que se cambie o agregue y que tenga vulnerabilidades se listará primero, se organizará por severidad y luego por nombre de dependencia. Esto significa que las dependencias de mayor gravedad están siempre al principio de la revisión de dependencias. El resto de las dependencias se lista por orden alfabético de acuerdo con el nombre de la dependencia.

   El icono situado junto a cada dependencia indica si la dependencia se ha agregado (), actualizado () o quitado () en esta solicitud de incorporación de cambios.

   El resto de la información incluye:

   • La versión o rango de versiones de la dependencia nueva, actualizada o borrada.
   • Para el caso de las versiones específicas de una dependencia:
     • La antigüedad del lanzamiento de la dependencia.
     • Número de proyectos que dependen de este software. Esta información se toma de la gráfica de dependencias. Verificar el número de dependencias puede ayudarte a evitar agregar accidentalmente la dependencia incorrecta.
     • La licencia que utiliza esta dependencia si es que esta información se encuentra disponible. Esto resulta útil si desea evitar el uso de código con determinadas licencias en el proyecto.

   Cuando una dependencia tiene una vulnerabilidad conocida, el mensaje de advertencia incluye:

   • Una descripción breve de la vulnerabilidad.
   • Un número de identificación de vulnerabilidades y exposiciones comunes (CVE) o GitHub Security Advisories (GHSA). Puedes dar clic en esta ID para conocer más sobre la vulnerabilidad.
   • La severidad de la vulnerabilidad.
   • La versión de la dependencia en la cual se arregló la vulnerabilidad. Si estás revisando un pull request para alguien, puedes pedir al contribuyente que actualice la dependencia a la versión corregida o a una versión más reciente.

3. Puede que también quieras revisar el diff origen, ya que podría haber cambios en el archivo de bloqueo o de manifiesto que no cambian de dependencia o podrían haber dependencias que GitHub no puede procesar, las cuales, como resultado, no aparecen en la revisión de dependencias.

   Para regresar a la vista de diferencias de origen, haz clic en el botón .